<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/12-0_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">軟體漏洞是不可避免的挑戰。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<p>科技讓生活更便利，但同時，資訊安全也因此和我們的生活緊密連結在一起。不過，資安問題是怎麼來的呢？其中一大主因，就是來自於<span data-component="tippy" data-content="底層是相對的概念，所有高階語言（C++、python）的底層是機器語言（01符號編成的），所有機器語言的底層是特定的硬體（CPU）。">底層</span>所使用的軟硬體，在實作上、設計上的疏漏。</p>
<p>&nbsp;</p>
<p>關於軟體漏洞，國立陽明交通大學資訊工程學系黃俊穎教授給了一個親切的比喻。他說，「使用軟體的過程」就像「去博物館看展」，而軟體使用者就像參觀博物館的民眾。博物館一般</p>
<p>設有標準參觀動線，民眾付費後便依動線移動參觀。不過，動線規劃與標準流程難免有疏漏；同樣地，開發人員撰寫的軟體也難免有考慮不周的情況。一旦設計上不夠周延，就可能成為能夠輕易遭有心人士利用的「軟體漏洞」。</p>
<p>&nbsp;</p>
<p>造成軟體漏洞的原因有很多。菱鏡股份有限公司（Trapa Security）彭詩峰共同創辦人進一步說明，若是在開發階段沒考慮到輸入資料的大小，便可能發生<span data-component="tippy" data-content="過去遊戲 BUG 最常出現的形式，輸入超過緩衝區能儲存的最大數據量的資料，破壞程式執行，初代寶可夢(紅綠版)抓夢幻的 BUG，即是緩衝區溢位造成的。">緩衝區溢位（Buffer Overflow）</span>，或是多執行緒程式中常見的<span data-component="tippy" data-content="緩衝區溢位的複雜版，因多核心互相搶資源造成的不穩定，例如雙核心同時執行相同程式時，會在過程中輸出相同變數存入記憶體，若兩者執行的間隔沒有算好，就會出現變數被覆蓋的問題，讓多核心運作出現不確定性。">競爭條件（Race Condition）</span>。而在開發網站時，如沒有過濾輸入，可能會導致<span data-component="tippy" data-content="駭客在「帳號」與「密碼」欄上，填入某種原始代碼，並回傳給 SQL（資料庫），若網站設定不當（如文中所說的「沒有過濾輸入」），資料庫會把「帳號」、「密碼」當成是代碼，從而執行特定程序，達到不須驗證就能登入後台。"> SQL 注入（SQL Injection）</span>、<span data-component="tippy" data-content="上述 SQL 注入的變體，在能留言的網頁上，留下一串特定代碼，如果網站設定不當，前台將不會顯示這串代碼，且所有用戶進入網頁後，都執行這段代碼。">跨站腳本攻擊（XSS）等</span>。此外，也有可能是在系統架構、功能設計上沒有考慮到安全問題，甚至是在設定系統時，犯了如使用預設密碼等的錯誤。</p>
<p>&nbsp;</p>
<p>當然，隨著新的程式語言、軟體平臺陸續出現，可預期將出現更多新的軟體漏洞，而任何種類的漏洞都可能是「零時差攻擊」（Zero-Day Attack）。</p>
<p>&nbsp;</p>
<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/12-1_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">搶先找到軟體漏洞並攻擊該漏洞的行為，都可稱為「零時差攻擊」。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<h2><strong><span style="font-size: 20px;">軟體漏洞與零時差攻擊</span></strong></h2>
<p>「零時差攻擊」本身並不是一種攻擊。黃俊穎教授說明「它是一個概念」，只要利用還沒公開的漏洞進行攻擊，就是零時差攻擊。</p>
<p>&nbsp;</p>
<p>軟體漏洞還沒公開就代表使用者和軟體開發者都還不知道漏洞的存在，因此不會有修補措施。當有心人士利用漏洞攻擊，成功機率就非常高，而等到漏洞被發現時，可能已經是很久以後，攻擊者早已達成目的。</p>
<p>&nbsp;</p>
<p>著名的零時差攻擊案例包括 2010 年 Google 遭到中國極光行動的攻擊，此次攻擊目的是竊取知識產權，並取得某些人權活動者的資料。這次極光行動的攻擊，加上 Google 對中國網路審查政策的不滿，使得 Google 因此退出中國市場，而彭詩峰創辦人更分享了近年重點案例——「天馬 Pegasus」。</p>
<p>&nbsp;</p>
<p>以色列公司 NSO Group 針對 iPhone 開發漏洞利用程式「天馬 Pegasus」。這個攻擊程式只需要知道目標的電話號碼或電子郵件地址，就能直接入侵並完全監控目標 iPhone，整個過程都難以被察覺。</p>
<p>&nbsp;</p>
<p>這能被用來做什麼呢？相關報導指出，Pegasus 被一些政府單位用來針對人權活動人士、記者、律師，甚至是各國政要。由此可知，零時差漏洞不只是資安問題，對於社會和國家安全的影響可媲美實體軍火，而成本甚至更低。</p>
<p>&nbsp;</p>
<h2><strong><span style="font-size: 20px;">漏洞的發現與修補</span></strong></h2>
<p>彭詩峰創辦人進一步解釋，要識破零時差攻擊，通常有幾種情況：一種情形是攻擊者利用這些漏洞時，被流量偵測、蜜罐（Honeypot） 、防毒軟體偵測到，並回傳給資安公司；另一種情形，則是有資安研究員發現了同樣的漏洞，並回報給廠商進行修補。</p>
<p>&nbsp;</p>
<p>為了在漏洞遭惡意使用前，搶先被找出且修補，Google 在 2014 年成立了由多位天才駭客組成的團隊——Project Zero。此外，Google 的另一個團隊 Threat Analysis Group（TAG）則專門研究並偵測國家級的網路攻擊行動，捕捉正在被利用的漏洞。</p>
<p>&nbsp;</p>
<p>當資安研究員發現漏洞後，一般會將漏洞回報給相關單位，如軟體開發商或漏洞披露平臺。開發商完成修補後，再通知使用者及企業進行更新。為了追蹤漏洞，美國 MITRE 公司發起公共漏洞和暴露（Common Vulnerabilities and Exposures, CVE）計畫，替每個漏洞分配獨特的 CVE 編號，讓不同組織能更有效率地追蹤和通報漏洞。</p>
<p>&nbsp;</p>
<p>在 CVE 的官方網站上，就統整了每年公布的 CVE 數量。通用缺陷列表（Common Weakness Enumeration, CWE）提供了一套 CVE 分類，目前有超過 600 種類型。臺灣大學資訊工程學系蕭旭君副教授提醒，通報數量是事實的呈現，但數量多寡跟安全性沒有必然關係。換句話說，通報代表漏洞有被揭露，且在修護後可能變得安全，但不代表沒有被通報的就絕對安全，可能只是受到的關注程度較低。此外，軟體漏洞除了 CVE 編號外，也包含 CVE 分數，正式名稱為通用漏洞評分系統（Common Vulnerability Scoring System, CVSS），分數從低到高為 0 到 10 分，越高代表越危險，也越容易利用該漏洞取得系統權限。</p>
<p>&nbsp;</p>
<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/12-2-scaled.jpg
" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">要阻擋零時差攻擊，軟體工程師只能比駭客更快找到軟體漏洞，並發布對應的更新檔給使用者，而使用者也應該立即更新軟體來保護自己。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><strong>除了看 CVE 通報數量，還要看 CVSS 資訊</strong></span></h2>
<p>資通安全研究院林志堯副主任進一步說明，一個 10 分的漏洞絕不是 10 個 1 分漏洞可以比擬的，所以不能單純以 CVE 通報數量決定軟體安全程度，應該細看其中的 CVSS 資訊。</p>
<p>&nbsp;</p>
<p>此外，也必須考量到，並不是所有被發現的軟體漏洞都會被通報，特別是在將軟體漏洞視為軍火、資助駭客對外發動攻擊的極權國家中，若有廣泛使用的軟體存在嚴重漏洞，絕不會主動將其公開為 CVE 漏洞，反而會持續利用該漏洞，直到被發現而失去攻擊效果為止，到那時則會再尋找其他漏洞，嘗試進行下波攻擊。因此，通報漏洞較少的軟體不一定比較安全，應該以發現的漏洞風險程度進一步評估。</p>
<p>&nbsp;</p>
<p>那麼，使用者該如何自保呢？蕭旭君副教授建議，一般使用者能做到的最佳防護之一，就是即時更新系統和軟體，特別是在更新版本修正了資安漏洞的時候。</p>
<p>&nbsp;</p>
<h2><strong><span style="font-size: 20px;">軟體漏洞技術在臺灣</span></strong></h2>
<p>在臺灣，軟體漏洞技術已有一定程度的發展，研究人員也藉由發現全球知名的軟體漏洞，在 Pwn2Own 資安競賽中取得佳績。林志堯副主任說，隨著網路攻擊和資安風險不斷增加，大型公司、機構和政府，都已致力於提升網路安全，資安教育也日漸受到重視，許多學校相繼設置課程和研究計畫，以培養更多資安專才。</p>
<p>&nbsp;</p>
<p>而黃俊穎教授點出，軟體漏洞就像感冒一樣，沒有人不會感冒，感冒症狀也有輕有重。在資訊科技高度發展的今日，我們只能選擇與軟體漏洞共存。而安全的資訊環境不能只仰賴資安解決方案，得從資訊主管、從業人員，甚至是每個民眾做起。唯有即時揭露和處理，才能維持軟體和系統常態運作的健康；長遠來說，也才能達到資訊工具與社會安全的平衡。</p>
<p>&nbsp;</p>
<p>（客座總編輯｜國家資通安全研究院 林盈達副院長；研究顧問團隊｜陽明交通大學資訊工程學系 黃俊穎教授、國家資通安全研究院 林志堯副主任、菱鏡股份有限公司 彭詩峰共同創辦人、臺灣大學資訊工程學系 蕭旭君副教授；責任編輯｜曹盛威、劉品萱）</p>
